皆様こんにちは。ネットワールドでFortinet製品を担当している藤井です。
今回は、インターネットに接続できない環境でFortiClientのVPN接続ができない問題と、その対処方法について紹介します。
接続ボタンを押してもすぐ切断される、あるいは接続試行自体が行われないといったケースに該当します。
※本記事執筆時のバージョン：FortiClientVPN 7.4.3 （無償版）
■ 発生する現象
インターネットに接続できない状態でFortiClientからVPN接続を行うと、以下のように接続試行が行われず即座に切断されます。 （接続ボタンを押しても反応しないように見える場合もあります）
また、パケットキャプチャを確認しても通信が一切発生しておらず、そもそも接続処理が開始されていない状態となります。
一方で、
- FortiGateへのPINGは通る
- HTTPSによる管理アクセスも可能
つまり、通信自体は可能なのにFortiClientのみ接続できないという状況です。
■ 設定方法
それでは設定方法です。
① コンフィグのバックアップ
FortiClientの歯車アイコンから設定をバックアップします。
XML形式のコンフィグファイルがダウンロードされます。
② コンフィグの編集
バックアップしたXMLファイルを開き、
<vpn>
<options>
...
<disable_internet_check>0</disable_internet_check>
</options>
</vpn>
0→1に変更します
③ コンフィグのリストア
編集したファイルをFortiClientにリストアします。
④ 動作確認
設定後は、インターネットに接続されていない状態でもVPN接続が試行され、正常に接続できるようになります。
■ 現象の原因
今回の事象について整理します。
WindowsでFortiClientを使用してFortiGateへVPN接続する際、
接続先への疎通可否に関わらず、FortiClientが接続処理を開始しないという挙動が確認されました。
調査の結果、FortiClientはデフォルトで
VPN接続前にインターネット接続性チェックを実施する
という仕様になっていることが分かりました。
このチェックに失敗すると、VPN接続そのものが実行されません。 接続しようとしても処理が開始されず、結果的に接続できない状態となります。
そのため、
- 閉域網環境
- インターネット非接続の検証環境
では今回のような問題が発生します。
なお、FortiClient 7.0では本挙動は確認されておらず、
7.2以降で追加された仕様である可能性が高いと考えられます。
■ 参考
■ まとめ
- FortiClientはデフォルトでインターネット接続確認を行う
- 未接続環境ではVPN接続処理自体が開始されない
disable_internet_check=1の設定で回避可能- 接続試行されない・すぐ切断される場合に有効な対処
免責事項
- 本書は、株式会社ネットワールド（以下 弊社）が作成・管理します。
- 本書の記載内容の一部または全部を弊社に無断で改変・転載することを禁じます。
- 本書の記載内容は、一部または全部が将来予告無く変更されることがあります。
- 本書の利用は、利用者様の責任において行われるものとします。
- 本書の記載内容には、最善の注意を払っておりますが、正確性・完全性を保証するものではありません。従いまして、本書の利用によって生じたあらゆる損害に関して、弊社は一切の責任を負いかねます。
